Pogodba o obdelavi podatkov

Stranki in obseg

Ta pogodba (člen 28 GDPR) se sklene med vami, lokalom, kot upravljavcem in Ospitera kot obdelovalcem. Je del pogojev uporabe in velja, dokler za vas obdelujemo osebne podatke. Različica 2026-11-05.

Kaj obdelujemo

Predmet in namen: sprejemanje, prikazovanje, tiskanje in dostava naročil vaših gostov, pošiljanje SMS-ov, ki jih vklopite, in s tem povezana podpora.

Posamezniki, na katere se nanašajo osebni podatki: vaši gostje in vaše osebje, ki uporablja administracijo in zaslon za osebje.

Osebni podatki: ime, telefon, naslov za dostavo, opombe in vsebina naročila gostov; uporabniška imena osebja; tehnični podatki, kot so naslovi IP (shranjeni le kot ključni zgoščeni zapisi).

Trajanje: Naslov za dostavo in opombe se izbrišejo 24 ur po zaključku naročila, telefonska številka in priimek po 72 urah, nezaključena naročila pa jih izgubijo po 7 dneh. Vsebina in zneski naročil ostanejo za knjigovodstvo lokala do prenehanja njegove dejavnosti ali storitve.

Naše obveznosti

Dokumentirana navodila: vaše osebne podatke obdelujemo le za namene in po navodilih iz te pogodbe, nastavitev, ki jih izberete v administraciji, in poznejših navodil vaših pooblaščenih kontaktnih oseb, vključno s prenosom v tujino. Če pravo EU ali države članice zahteva drugačno obdelavo, vas o tem obvestimo vnaprej, razen če to pravo prepoveduje. Če menimo, da navodilo krši predpise o varstvu podatkov, vas o tem takoj obvestimo in navodilo začasno zadržimo, dokler se ne dogovorimo o nadaljnjih korakih.

Vse osebe v Ospiteri, ki imajo dostop, so zavezane k zaupnosti.

Izvajamo ustrezne varnostne ukrepe, med drugim: šifriranje med prenosom, šifriranje kontaktnih podatkov gostov in plačilnih poverilnic v mirovanju, zgoščena gesla in PIN-e, dostop, omejen na lokal, omejevanje zahtev, beleženje občutljivih dejanj, samodejno brisanje po zgornjih pravilih in varnostne kopije baze podatkov.

Pomoč: ob upoštevanju obdelave in razpoložljivih informacij vam pomagamo pri zahtevah gostov za uresničevanje njihovih pravic, pri varnosti, oceni in prijavi kršitev, ocenah učinka in posvetovanjih z organi. Vaša administracija vsebuje orodje za izvoz ali izbris podatkov posameznega gosta; za ostalo se obrnite na podporo. Zahteve, ki zadevajo vašo obdelavo, vam nemudoma posredujemo in nanje sami ne odgovarjamo, razen če to zahteva zakon, informacije, ki jih razumno imamo, pa vam posredujemo pravočasno za vaše roke.

Kršitev varnosti osebnih podatkov, ki zadeva vaše podatke, vam prijavimo brez nepotrebnega odlašanja in v 48 urah od odkritja, z informacijami, ki jih potrebujete za lastne obveznosti.

Prenehanje storitve: nova naročila se končajo na datum prenehanja. Še 30 dni po tem se lahko prijavite in izvozite podatke (pogoji 9.4); 30. dan izbrišemo osebne podatke, ki jih hranimo za vas (naročila, podatke gostov, račune osebja in lastnika, jedilnik in kontaktne podatke v nastavitvah), razen če nas prosite za zgodnejši izbris. Varnostne kopije baze podatkov potečejo po urniku obnove našega ponudnika baze podatkov in se nikoli ne uporabljajo pri običajnem delovanju; če se varnostna kopija kdaj obnovi, se izbrisi ponovno uveljavijo. Hranimo le, kar od nas zahteva zakon: naše račune vam in zapis o sprejemu pogojev.

Skladnost in revizije: dajemo na voljo informacije, ki so razumno potrebne za dokazovanje skladnosti s to pogodbo, in omogočamo revizije, vključno s pregledi, ki jih izvedete vi ali neodvisni revizor, ki ga pooblastite, z razumnim predhodnim obvestilom in ob varovanju zaupnosti, ter pri njih sodelujemo. Redne revizije je mogoče združiti, da se prepreči podvajanje; dodatne revizije so vedno mogoče po pomembnem incidentu, pomembni spremembi obdelave, utemeljenem sumu neskladnosti ali na zahtevo nadzornega organa.

Ločeni vlogi: smo vaš obdelovalec za naročila vaših gostov in za račune osebja, ki jih upravljate. Za naš poslovni odnos z vami, zaračunavanje, varnost naše platforme in pravne zahtevke smo samostojni upravljavec, kot opisuje politika zasebnosti (/legal/privacy). Nobena vloga nam ne dovoljuje, da podatke gostov uporabimo za oglaševanje, nepovezano profiliranje ali učenje modelov umetne inteligence.

Podobdelovalci

Odobrite podobdelovalce, navedene na /legal/subprocessors. Naložimo jim enake obveznosti varstva podatkov in zanje odgovarjamo.

Nove podobdelovalce napovemo v administraciji najmanj 30 dni vnaprej. Iz razumnih razlogov lahko ugovarjate; če rešitve ni mogoče najti, lahko storitev pred spremembo odpoveste.

Prenos v tujino

Seznam podobdelovalcev navaja, kje posamezni ponudnik obdeluje podatke. Če podatki zapustijo Evropski gospodarski prostor, prenos temelji na sklepu o ustreznosti ali, če ta ne velja, na standardnih pogodbenih klavzulah Evropske komisije (modul 3, obdelovalec obdelovalcu), dogovorjenih s tem ponudnikom, z dodatnimi ukrepi, kjer je potrebno. Nadaljnje prenose naših ponudnikov presojamo ločeno. Prenos brez veljavnega mehanizma se ne začne. Na zahtevo vam posredujemo kopijo zaščitnih ukrepov, prikrito le tam, kjer je to poslovno nujno.

Priloge za posamezne države

Združeno kraljestvo: osebni podatki iz Združenega kraljestva lahko gredo v EGP po britanskih predpisih o ustreznosti za EGP. Če omejen prenos sega zunaj EGP, se uporablja UK International Data Transfer Addendum h klavzulam, ki jih imamo s tem ponudnikom.

Švica: prenosi v EGP temeljijo na priznanju ustrezne ravni varstva s strani Zveznega sveta; prenosi drugam uporabljajo standardne pogodbene klavzule, ki jih je za to namembno državo priznal švicarski zvezni pooblaščenec za varstvo podatkov in informacij.

Brazilija: prenosi v Belgijo in preostalo EU temeljijo na odločitvi brazilskega organa za varstvo podatkov (ANPD) o ustrezni ravni varstva v Evropski uniji, kolikor jih zajema. Druge namembne države in nadaljnji prenosi uporabljajo zanje navedeni mehanizem; če so to standardne pogodbene klavzule ANPD (resolucija CD/ANPD 19/2024), priložimo njihovo celotno besedilo in izpolnjene priloge brez sprememb.

Turčija: če je zaščitni ukrep standardna pogodba Organa za varstvo osebnih podatkov, pred začetkom prenosa z vami izpolnimo in podpišemo ustrezni turški modul, podpisano pogodbo pa Organu v petih delovnih dneh od podpisa sporoči stranka, ki jo določi Organ. Do takrat ne začnemo obdelovati podatkov za lokal v Turčiji.

Quebec: preden osebne informacije zapustijo Quebec, vam posredujemo informacije in pisna zagotovila, ki jih potrebujete za lastno presojo po Zakonu o varstvu osebnih informacij v zasebnem sektorju; presoja ostane vaša.

Druge države z lastnimi pravili o prenosu osebnih podatkov v tujino (na primer Argentina, Kolumbija in Peru): posredujemo vam potrebne informacije o naši obdelavi in pred začetkom prenosa uvedemo klavzule, ki jih zahteva to pravo.

Vrstni red prednosti

Prisilne določbe navedenega instrumenta za prenos imajo prednost pred to pogodbo in pogoji uporabe. Ob tem pridržku ima priloga za posamezno državo prednost pred preostankom te pogodbe, ta pogodba pa ima v vprašanjih osebnih podatkov prednost pred pogoji uporabe.

Kontakt

Vprašanja o zasebnosti in prijava kršitev: support@ospitera.com.